L’année dernière, le ministère américain de la Santé et des Services sociaux a lancé un avertissement sévère aux hôpitaux américains, soulignant les cybermenaces croissantes qui pèsent sur le secteur de la santé. Le rapport de cette agence fédérale sur la cyber-résilience des hôpitaux a souligné que l’adoption généralisée des technologies de l’information dans le domaine de la santé, encouragée par la loi HITECH (Health Information Technology for Economic and Clinical Health), la loi sur les soins abordables (Affordable Care Act) et la loi 21st Century Cures Act, a accru la vulnérabilité du secteur de la santé face aux cyberattaques.
« Les ransomwares visant directement à perturber les opérations cliniques constituent une menace cybernétique disproportionnée et croissante pour les hôpitaux », a souligné le HHS. « Les ransomwares représentent actuellement la plus grande menace pour ce secteur et méritent une attention immédiate, surtout si l’on considère l’impact que l’indisponibilité des services peut avoir sur les soins et la sécurité des patients. »
Les ransomwares sont souvent associés au vol de données sensibles sur les patients. Selon le programme de cybersécurité du HHS, les dossiers médicaux électroniques (DME) sont les cibles privilégiées des cyberattaques, car ils contiennent des informations médicales protégées (PHI) précieuses, telles que les noms, les numéros de sécurité sociale, les données géographiques et les données biométriques. Ces données sont très lucratives pour les cybercriminels et difficiles à sécuriser une fois exposées.
Règles de sécurité relatives aux dossiers médicaux électroniques (EMR/EHR) conformément à la loi HIPAA
L’alerte du HHS met en évidence d’importantes vulnérabilités dans les systèmes d’information de santé qui exposent les établissements à des attaques par ransomware, à des fuites de données et à d’autres cybermenaces. Les prestataires de soins de santé doivent considérer ces alertes comme des appels à l’action urgents plutôt que comme de simples avis de routine. Les implications vont au-delà des simples préoccupations techniques : une sécurité insuffisante des dossiers médicaux électroniques (DME) entraîne une responsabilité juridique, compromet la prise en charge des patients et porte atteinte à la réputation des établissements.
Les menaces courantes pour la sécurité des DSE comprennent :
- Menaces internes : des membres du personnel qui abusent, par inadvertance ou intentionnellement, de leur accès aux dossiers des patients.
- Risques liés aux tiers : fournisseurs et partenaires commerciaux ayant accès aux systèmes mais dont les pratiques en matière de sécurité sont potentiellement inadéquates.
- Systèmes hérités : logiciels et matériels obsolètes qui ne bénéficient plus de mises à jour de sécurité.
- Vulnérabilités des appareils mobiles : smartphones et tablettes non sécurisés utilisés pour accéder aux informations des patients.
- Failles du cloud : protection insuffisante des données stockées dans le cloud.
- Attaques par hameçonnage : campagnes ciblées visant à voler les identifiants des professionnels de santé.
- Protocoles de sauvegarde inadéquats : systèmes de sauvegarde insuffisants ou non testés qui échouent lors des scénarios de restauration.
Ces menaces sont directement liées au non-respect de la loi HIPAA lorsque les organismes ne mettent pas en œuvre les mesures de protection requises. Par exemple, un rançongiciel exploitant un logiciel non mis à jour constitue une violation des exigences de protection du système prévues par la règle de sécurité HIPAA.
Les conséquences financières de ces attaques peuvent être lourdes. Selon le rapport 2024 d’IBM intitulé « Cost of a Data Breach Report », les violations de données dans le secteur de la santé coûtent en moyenne 9,77 millions de dollars aux organisations. Citons par exemple le récent accord à l’amiable conclu à la suite d’une attaque par ransomware impliquant Heritage Valley Health System, dans le cadre duquel l’Office for Civil Rights a infligé une amende de 950 000 dollars et exigé la mise en place d’un plan d’actions correctives. De tels incidents soulignent l’importance de mettre en place des mesures de cybersécurité solides pour prévenir les violations de données et réduire les risques.
Les règles de sécurité relatives aux dossiers médicaux électroniques (EMR/EHR) prévues par la loi HIPAA comprennent la mise en œuvre de mesures de protection administratives, physiques et techniques raisonnables et appropriées pour protéger les informations médicales protégées sous forme électronique (ePHI). La règle de sécurité HIPAA établit des obligations spécifiques pour la protection des dossiers médicaux électroniques (EHR). Elle exige des entités réglementées qu’elles disposent :
- Mesures de protection administratives : analyse des risques, processus de gestion de la sécurité, formation du personnel et plans d’urgence.
- Mesures de sécurité physiques : contrôle d’accès aux locaux, sécurité des postes de travail et contrôle des appareils et supports.
- Mesures techniques de protection : contrôles d’accès, contrôles d’audit, contrôles d’intégrité et sécurité des transmissions.
- Exigences organisationnelles : contrats avec les partenaires commerciaux et exigences en matière de documentation.
- Politiques et procédures : mise en œuvre de mesures de sécurité raisonnables et appropriées.
Les organismes de santé doivent mener une évaluation complète des risques liés à la sécurité afin d’identifier les vulnérabilités. Ils doivent ensuite élaborer un plan de remédiation qui donne la priorité aux lacunes critiques, met à jour les politiques et procédures de sécurité, met en œuvre des mesures de protection techniques et forme le personnel aux protocoles de sécurité. Des audits de sécurité réguliers permettent de maintenir une conformité continue et de s’adapter aux nouvelles menaces.
Mesures de sécurité relatives aux DSE et leur importance
Les DSE étant des cibles privilégiées, leur sécurité revêt une importance croissante. La sécurité des DSE englobe des mesures de protection spécialisées conçues pour protéger les ePHI au sein des systèmes d’information de santé. Elle doit tenir compte à la fois des vulnérabilités techniques des systèmes numériques et des exigences particulières en matière de confidentialité imposées par la réglementation dans le domaine de la santé.
La sécurité efficace des dossiers médicaux électroniques (DME) conformes à la loi HIPAA repose sur trois principes fondamentaux :
- La confidentialité protège contre tout accès non autorisé aux données sensibles des patients.
- L’intégrité garantit l’exactitude et la cohérence des dossiers médicaux tout au long de leur cycle de vie.
- La disponibilité garantit que les utilisateurs autorisés peuvent accéder aux informations essentielles lorsqu’ils en ont besoin pour prodiguer des soins aux patients.
Mesures de sécurité essentielles pour les DSE
Ces mesures de sécurité relatives aux DSE peuvent aider les organismes de santé à protéger les données des patients tout en respectant les exigences de la loi HIPAA :
- Contrôles d’accès : autorisations basées sur les rôles qui limitent l’accès aux données au personnel autorisé en fonction de ses fonctions et de ses besoins.
- Systèmes d’authentification : authentification multifactorielle nécessitant plusieurs méthodes de vérification avant d’accorder l’accès au système.
- Chiffrement : chiffrement des données au repos et en transit afin de protéger les informations même en cas de violation des systèmes.
- Pistes d’audit : enregistrement complet de toutes les activités du système afin de savoir qui a consulté les dossiers et quelles modifications ont été apportées.
- Analyse régulière des risques liés à la sécurité des DSE : évaluation systématique des vulnérabilités en matière de sécurité et mise en œuvre de stratégies d’atténuation.
- Sauvegarde et restauration : sauvegardes régulières des données, accompagnées de procédures de restauration testées, afin de garantir la disponibilité en cas d’incident.
- Mesures de sécurité physiques : accès physique restreint aux serveurs et aux postes de travail contenant des informations médicales protégées sous forme électronique (ePHI).
- Formation de sensibilisation à la sécurité : formation continue de l’ensemble du personnel aux protocoles de sécurité et à la reconnaissance des menaces.
Préoccupations relatives à la confidentialité et à la sécurité des DSE
L’intégrité et la confidentialité des données constituent des aspects distincts mais interdépendants des préoccupations relatives à la confidentialité et à la sécurité des DSE. L’intégrité des données vise à maintenir l’exactitude et l’exhaustivité des dossiers médicaux tout au long de leur cycle de vie : empêcher les modifications non autorisées, détecter les données corrompues et préserver la fiabilité des informations médicales.
La confidentialité consiste à contrôler qui peut accéder aux informations des patients et dans quelles circonstances. Ces deux éléments nécessitent des mesures de protection spécifiques afin de garantir la conformité à la loi HIPAA.
Si le chiffrement offre une couche de protection essentielle pour les données des DSE, il ne peut toutefois pas constituer une solution complète contre les violations de sécurité des DSE. Les données chiffrées restent vulnérables si les contrôles d’accès sont insuffisants, si les systèmes d’authentification sont compromis ou si des initiés abusent de leurs privilèges d’accès légitimes. Les établissements de santé doivent mettre en œuvre une approche de sécurité multicouche couvrant l’ensemble des vulnérabilités potentielles afin de résoudre les problèmes de confidentialité et de sécurité des DSE.
Les contrôles d’accès, les journaux d’audit et les évaluations régulières des risques contribuent ensemble à préserver à la fois l’intégrité et la confidentialité des dossiers médicaux électroniques. Les contrôles d’accès limitent l’exposition des données en fonction des rôles et du besoin d’en connaître. Les journaux d’audit garantissent la traçabilité en enregistrant toutes les interactions avec les informations médicales protégées. Les évaluations des risques permettent d’identifier les vulnérabilités émergentes avant qu’elles ne puissent être exploitées.
« La migration vers le cloud s’est accélérée, car elle réduit la dette technique et renforce la sécurité », explique Jaimie Fox, stratège technologique senior chez Microsoft. « Le cloud offre une sécurité bien supérieure à celle des hôpitaux individuels, ce qui permet aux prestataires de soins de santé et aux fournisseurs de DSE de transférer leur infrastructure en toute sécurité tout en se concentrant sur l’innovation et l’efficacité. »
De nombreux prestataires de soins de santé reconnaissent de plus en plus la nécessité de tirer parti des avantages du cloud par rapport aux infrastructures traditionnelles. Cependant, cette évolution soulève une question cruciale : comment les établissements de santé peuvent-ils protéger leurs systèmes critiques contre les cybermenaces tout en garantissant leur bon fonctionnement pour les soins aux patients ?
Renforcement de la sécurité des dossiers médicaux électroniques dans le cloud
Face à la multiplication des cybermenaces pesant sur les systèmes de dossiers médicaux électroniques, les organismes de santé doivent adopter des stratégies éprouvées en matière de cyber-résilience. Les principales méthodes consistent à tirer parti d’une infrastructure de sécurité cloud, à mettre en place une atténuation complète des risques et à intégrer l’IA dans les workflows de sécurité afin d’améliorer la préparation aux attaques.
Disposant de ressources humaines limitées en matière de cybersécurité, les établissements de santé ont la possibilité d’utiliser le cloud pour renforcer leur posture de cybersécurité et remédier au retard technique qui affecte la majorité des hôpitaux américains. Si le respect des réglementations fédérales, étatiques et locales est essentiel, l’atténuation des risques liés à la cybersécurité va au-delà de la simple conformité aux normes.
« En matière de cyber-résilience, protéger la disponibilité des données est tout aussi crucial que d’assurer leur confidentialité et leur intégrité », explique David Houlding, directeur de la stratégie mondiale en matière de sécurité et de conformité dans le secteur de la santé chez Microsoft. « Les établissements de santé doivent également se prémunir contre les violations, les menaces internes et les risques liés aux tiers, qui peuvent entraîner de graves perturbations, notamment des pannes de système. »
La flexibilité et l’évolutivité du cloud permettent l’intégration rapide de technologies avancées et gourmandes en données qui aident les professionnels de la cybersécurité dans le domaine de la santé à renforcer la sécurité et permettent aux cliniciens d’utiliser des outils de pointe pour soigner leurs patients.
« Les capacités de l’IA, qui améliorent la productivité et réduisent les coûts dans les systèmes de DSE, ne sont réalisables que dans un cloud », note M. Fox. « Les systèmes traditionnels sur site ne peuvent pas prendre en charge ces fonctions avancées d’IA, ce qui limite l’innovation et les solutions de pointe dans les soins cliniques. »
L’IA peut également révolutionner la cybersécurité dans le secteur de la santé en identifiant rapidement les menaces potentielles pesant sur les données, les systèmes et les applications, et en y répondant rapidement.
« Grâce à l’IA, les analystes en sécurité peuvent détecter et contrer des attaques sophistiquées, telles que le phishing et le spear phishing, qui sont désormais plus répandues et moins coûteuses à mettre en œuvre, car les pirates ont eux aussi recours à l’automatisation basée sur l’IA », explique M. Houlding. « De plus, l’IA peut fournir des conseils en temps réel, aidant les équipes de sécurité à améliorer leurs compétences sur le terrain, ce qui leur permet d’être mieux équipées pour faire face à un environnement de menaces en constante évolution. »
Alors que les établissements de santé migrent vers le cloud, il est essentiel de trouver un équilibre entre innovation et sécurité.
Choisir le bon partenaire en matière de cyber-résilience
En tirant parti de la sécurité du cloud et des protections basées sur l’IA, les prestataires de soins de santé peuvent protéger leurs systèmes critiques tout en favorisant les innovations cliniques dans les soins aux patients.
« Commvault est un partenaire Microsoft de confiance et un partenaire clé pour les organismes de santé qui recherchent un véritable cloud sur Azure. Ils possèdent un palmarès inégalé et, comme vous l’ont indiqué nos collègues, leur proposition de valeur est unique et à la pointe du secteur », déclare Karen Cox, responsable mondiale de la stratégie de partenariat dans le domaine de la santé chez Microsoft.
« Commvault est un leader et l’un des premiers participants au programme de partenariat Microsoft Copilot for Security, qui utilise les technologies les plus récentes pour protéger les entreprises », poursuit-elle. « Leurs solutions sont entièrement intégrées aux solutions de sécurité de Microsoft, développées en collaboration avec Microsoft et conformes aux normes Azure Protection Services. Cela fait de Commvault un partenaire idéal pour la protection des applications et des données du secteur de la santé, que ce soit dans le cloud ou dans un environnement hybride. »
Les établissements de santé peuvent renforcer leurs stratégies de reprise après sinistre face aux attaques visant les dossiers médicaux électroniques (DME) en tirant parti de Commvault Cleanroom Recovery, la seule solution validée par Enterprise Strategy Group pour garantir une reprise dans un environnement sécurisé. Les ransomwares constituant une menace majeure, un plan de reprise sécurisé et vérifiable est essentiel pour reprendre rapidement et en toute sécurité les opérations.
En utilisant la plateforme avancée de cyber-résilience de Commvault, les établissements de santé peuvent se remettre rapidement et en toute sécurité, sans risque de réinfection, tout en protégeant les données des patients et en garantissant la sécurité opérationnelle à long terme. Téléchargez notre guide complet pour préparer votre établissement de santé grâce à des mesures pratiques et des bonnes pratiques en matière de cyber-récupération.
